Apache Struts: Mehrere Schwachstellen ermöglichen Ausführen von beliebigem Programmcode mit den Rechten des Dienstes
WID-SEC-2026-3852 · erstmals 25.04.2016 · aktualisiert 12.10.2026 · CVSS 8,8
Worum es geht
Struts ist ein Framework für Java-Anwendungen auf dem Webserver Apache. Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Apache Struts ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen.
Unter welchen Bedingungen?
Über das Netz, aber nur mit gültigem Zugang (Anmeldung nötig), etwa mit gestohlenen Zugangsdaten oder als Innentäter.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- beliebigen Programmcode mit den Rechten des Dienstes auszuführen
Bin ich betroffen?
Betroffen sind laut BSI:
- Apache Struts 2.0.0
- Apache Struts <2.3.20.2
- Apache Struts <2.3.24.2
- Apache Struts <2.3.28.1
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Apache Struts 2.3.20.2
- Apache Struts 2.3.24.2
- Apache Struts 2.3.28.1
Wird die Lücke schon ausgenutzt?
- CVE-2016-3081: laut CISA in freier Wildbahn ausgenutzt, im Katalog seit 08.10.2026.
- Laut CISA-Warnung genutzt von Akteuren aus China: Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data (10/2026)
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Apache Software Foundation Security Bulletin S2-032 vom 2016-04-24 struts.apache.org
- Apache Software Foundation Security Bulletin S2-031 vom 2016-04-24 struts.apache.org
- Meldung auf cxsecurity vom 2016-05-01 cxsecurity.com
- CISA Known Exploited Vulnerabilities Catalog vom 2026-10-11 www.cisa.gov
CVE: CVE-2016-3081, CVE-2016-3082
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.